펜타시큐리티 "웹공격 절반은 취약점 파악 목적"

펜타시큐리티시스템(대표 이석우)이 지난 14일 '2010 하반기 웹 공격동향 보고서'를 발표했다.

자사 웹 애플리케이션 방화벽 솔루션 와플 룰 탐지를 기준으로 분석한 웹공격 유형 중 가장 많이 이뤄진 공격은 '익스텐션 필터링'(25.85%)이 차지했다. 익스텐션 필터링은 공격자들이 자동화된 공격 도구를 통해 정상적인 웹사이트 파일에 접근할 수 있는 기법이다. 이런 공격이 많았다는 것은 웹사이트 관리자와 개발자 부주의로 인한 취약성 노출이 많았음을 의미한다고 펜타시큐리티는 설명했다.

국제웹보안표준기구(OWASP) 10대 취약점을 기준으로 분석한 공격유형 중에서 가장 많이 나타난 것은 29.55%를 차지한 'URL접근제한 실패'였다. 웹사이트 운영에 중요정보가 노출될 수 있는 URL접속시도가 빈번하게 이뤄졌음을 알 수 있다.

이 밖에도 웹공격 목적은 '취약성 파악' 공격이 48.53%로 많은 비중을 차지했다. 웹사이트 변조(16.46%) 및 정보유출(14.26%)이 뒤를 이었다. '취약성 파악'과 '개인정보유출' 등은 웹공격을 위한 준비로 볼 수 있어 웹공격은 보다 증가할 가능성이 높다고 펜타시큐리티는 분석했다.특히, 위험도가 높은 공격 유형중 PHP서버 환경에서 웹 서버에 악성코드를 실행시킬 수 있는 '인클러드 인젝션'공격이 가장 많았고, 개인정보 유출 시도가 뒤를 이었다.

펜타시큐리티 김덕수 연구소장은 스마트워크를 위한 업무환경 변화와 각종 모바일 디바이스 증가로 웹 공격이 다양화되고 있다며 2010년 상반기에 비해 웹 공격 사전단계로 볼 수 있는 취약성 파악 시도와 개인정보유출 시도가 2배 이상 증가해 이에 대한 적극적인 보안대책을 강화해야 한다고 말했다.